如何实现Dependabot对Google Cloud Artifact Registry私有npm仓库的永久认证？

核心问题排查与解决步骤 #

1. 确认ServiceAccount权限有效性 #

• 确保Artifact Registry Reader角色是绑定在目标仓库层级（而非仅项目层级，项目层级也可但需覆盖目标仓库）。
• 验证Artifact Registry API已启用（临时令牌能访问则大概率已启用，可再确认GCP控制台的API状态）。

2. 正确处理ServiceAccount密钥 #

禁止手动移除密钥中的空白字符，保留原始JSON密钥文件格式：

• 若用_json_key方式：直接复制JSON文件的全部内容（含换行、空格）存入GitHub Dependabot Secret（例如命名为GCP_SERVICE_ACCOUNT_KEY）。
• 若用_json_key_base64方式：对原始JSON文件内容执行base64编码（命令：cat service-account-key.json | base64），将编码结果存入Secret。

3. 修正Dependabot配置 #

方式一：_json_key（推荐，无需编码）

version: 2
registries:
  my-reg:
    type: npm-registry
    url: <你的仓库URL>
    username: "_json_key"
    password: "${{ secrets.GCP_SERVICE_ACCOUNT_KEY}}"

updates:
  - package-ecosystem: "npm"
    registries:
      - my-reg
    # 补充你的其他配置（如directory、schedule等）

方式二：_json_key_base64

version: 2
registries:
  my-reg:
    type: npm-registry
    url: <你的仓库URL>
    username: "_json_key_base64"
    password: "${{ secrets.KEY_BASE64}}"

updates:
  - package-ecosystem: "npm"
    registries:
      - my-reg
    # 补充你的其他配置

4. 配合项目根目录的.npmrc #

确保.npmrc的仓库前缀与package.json中依赖的前缀一致：

@你的依赖前缀:registry=<你的Artifact Registry仓库URL>
//<你的Artifact Registry仓库URL>/:_authToken=${NODE_AUTH_TOKEN}

NODE_AUTH_TOKEN会由Dependabot自动注入配置的认证信息，无需手动填写。

5. 正确的curl测试方法 #

• _json_key方式测试（用引号包裹避免转义问题）：

curl -u "_json_key:$(cat service-account-key.json)" <你的仓库URL>

• _json_key_base64方式测试：

curl -u "_json_key_base64:$(cat service-account-key.json | base64)" <你的仓库URL>

6. 验证Dependabot Secret配置 #

确保GitHub仓库的Dependabot Secret名称与配置文件中的变量名完全一致（大小写敏感），且Secret已正确添加到当前仓库。

完成以上步骤后，Dependabot即可通过ServiceAccount密钥永久访问私有npm仓库，无需依赖临时令牌。

内容的提问来源于stack exchange，提问作者user23422825